Eventos del flujo de actividad
Usa esta página para analizar el flujo de actividad en tu SIEM. Cada evento de agente que la consola lista se convierte en un evento OCSF 1.1.0 API Activity. Para activar el flujo, consulta Enviar eventos a tu SIEM. Los eventos transmitidos son los que reporta cada agente, lo que depende del agente: consulta Niveles de control.
| Campo | Valor |
|---|---|
| Clase | class_uid 6003, nombre de clase API Activity |
| Actividad | activity_id 99, con la etiqueta de categoría de abajo como nombre de actividad |
| Tipo | type_uid 600399 |
| Identificador del evento | metadata.uid, un identificador por evento, el mismo en cada reenvío. Deduplica con él |
| Perfiles | metadata.profiles incluye el perfil cloud; el objeto cloud nombra a OpenLatch como proveedor |
| Hora | Cuándo reportó el agente el evento, en milisegundos epoch |
| Severidad | severity_id, según la tabla de abajo |
| Operación | api.operation: el nombre de la herramienta, o la etiqueta de categoría cuando el evento no tiene herramienta |
| Identidad | El usuario y el host en el momento de la acción. Con Hash personal data activado, salen como hashes con clave |
| Decisión | olverdict, olverdictshadow, olmode, olpolicyid y olpolicyruleid dentro de unmapped.openlatch, solo en los eventos que llevan una decisión de OpenLatch |
| Agente | agent_id y platform dentro de unmapped.openlatch, según el registro del agente. platform es la plataforma del agente, por ejemplo claude-code. agent_type lleva el mismo valor y está obsoleto: lea platform |
| Sesión | session_id dentro de unmapped.openlatch |
| Enlace a la consola | console_url dentro de unmapped.openlatch: el evento en la consola |
Los veredictos salen en mayúsculas: ALLOW, ASK, BLOCK, OPTIMIZE.
Etiquetas de categoría
Sección titulada «Etiquetas de categoría»| Tipos de evento | Etiqueta de categoría |
|---|---|
pre_tool_use | Tool Call |
post_tool_use, post_tool_use_failure, post_tool_batch | Tool Result |
user_prompt_submit | Prompt Submit |
session_start | Session Start |
session_end, session_shutdown, stop, interrupt | Session End |
subagent_start | Sub-Agent Start |
subagent_stop | Sub-Agent Stop |
permission_request | Permission Request: la solicitud de permiso propia del agente, nunca un Ask de OpenLatch |
notification, message_display | Notification |
ai.openlatch.economics.usage | Model Usage |
| Eventos de configuración | Config Change |
| Eventos del ciclo de vida del cliente | Client Lifecycle |
ai.openlatch.security.tamper_detected | Tamper Detected |
ai.openlatch.security.tamper_healed | Tamper Healed |
ai.openlatch.decision.resolved | Decision Resolved |
Cualquier otro tipo que la consola liste toma la última parte de su nombre, con cada palabra en mayúscula inicial.
Severidad
Sección titulada «Severidad»| Evento | severity_id |
|---|---|
| Block en Enforce | 4 |
| Ask en Enforce | 3 |
| Monitor, Block que se habría dado | 3 |
| Optimize en Enforce; Monitor, Ask u Optimize que se habría dado | 2 |
| Allow, y todo evento que no lleva ninguna decisión | 1 |
Contenido
Sección titulada «Contenido»Con Send prompt text and tool input activado, cada evento lleva content dentro de unmapped.openlatch:
| Campo | Valor |
|---|---|
| Texto del prompt | Limpiado de secretos y direcciones de correo, limitado a 2 KB, con un indicador cuando se recortó y otro cuando se retuvo porque quedaba un secreto |
| Entrada de la herramienta | Los argumentos de la herramienta, con las claves sensibles sustituidas por [REDACTED] y sin el contenido de archivos ni los textos de sustitución, después limpiados y limitados de la misma forma |
Con el contenido desactivado, un evento de prompt solo lleva prompt_length, nunca su texto. Las respuestas de herramientas, el contenido de archivos y la salida de comandos nunca salen de OpenLatch. Cada evento se mantiene por debajo de 8 KB; el contenido se recorta primero.